Главная » Песочница » Анонимность VPN, Tor и Прокси — что об этом надо знать?!
Анонимность VPN Tor Прокси

Анонимность VPN, Tor и Прокси — что об этом надо знать?!

Итак, вы переживаете, что ваш интернет-провайдер шпионит за вами или блокирует контент. В таком случае одним из решений будет прекратить использовать Интернет. А другим — использовать прокси или виртуальную частную сеть (VPN). Принцип у обоих один: из вашего домашнего подключения вы подключаетесь к конечному пункту назначения через сервер посредника.

Анонимность Прокси

Если бы администратор вашего интернет-провайдера смотрел только на ваши сетевые соединения, он бы увидел только, что вы подключились к посреднику. Однако анализ трафика стоит недорого (в Великобритании интернет-провайдеры могут покрыть расходы за счет [Ред.: — Налогоплательщиков] правительства) и не представляет трудностей, так что не стоит недооценивать противника.

Простой HTTP-прокси не шифрует данных, и даже перенаправит ваш IP-адрес на пункт назначения через заголовок X-Forwarded-For. Это не так уж конфиденциально, но есть прокси более низкоуровневые, такие как прокси SOCKS, которые работают более прозрачно. Сам протокол SOCKS не содержит шифрования, и если вас заботит конфиденциальность, шифрование должно применяться приложением, например, с помощью таких протоколов, как SSH или HTTPS.

Прокси SOCKS появились как инструмент маршрутизации, а не конфиденциальности, поэтому на них не стоит смотреть, как на ограничение. Однако VPN бесплатно добавляют шифрование, и всё, что видит ваш интернет-провайдер — это что вы подключаетесь к серверу и получаете оттуда много TLS-зашифрованных пакетов. Отлично, проблема решена?

Анонимность VPN

На самом деле, нет. VPN стали популярны за пять лет, прошедших после разоблачений Сноудена. Однако провайдеры VPN прекрасно видят, что именно проходит через их серверы. И они подчиняются всем законам в их юрисдикции: в Великобритании VPN-провайдер считается оператором связи, и у него могут потребовать начать записывать все соединения пользователя (или всех пользователей). Провайдеры могут, в качестве политики, не вести журналов, однако угроза судебного иска может заставить их потихоньку сделать исключение из этой политики.

Есть и нечистоплотные VPN-провайдеры, и принимая во внимание ужасную захламленность ссылками, свидетелем которых вы вынуждены стать, если проводите хоть небольшое исследование, трудно сказать, кому можно доверять. Говорят, если вы не платите за услугу, то вы — продукт, и нельзя найти более подходящее слово в случае с Hola, который предоставлял бесплатный “VPN” через плагин браузера. Пользователи могут выбрать страну, через которую они будут показываться в Интернете, поэтому сервис стал особенно популярен среди пользователей, желающих обойти геоблоки на сайтах потокового вещания. Многие пользователи были не в курсе небольшой подробности, а именно, что Hola применял одноуровневую архитектуру, поэтому VPN, к которым подключались пользователи, были на самом деле просто другими клиентами Hola.

Более того, в 2014 г. пользователи оказались вовлечены в побочный проект родительской компании Hola под устрашающим названием Luminati. Этот платный сервис использовал любителей дармовщины в качестве выходных узлов, с успехом перепродавая их канал и подвергая их риску судебного преследования за всё, для чего их канал мог использоваться. Hola работает по сей день, но более открыто по поводу работы своей одноранговой инфраструктуры, и предпринимает шаги по защите соединений своих пользователей от злоупотреблений.

Большинство коммерческих VPN пользуются протоколом OpenVPN, который переносим, может проходить шлюзы NAT и не требует ужасных (или чисто для Windows) клиентских программ. Работа по шифрованию передана вездесущей библиотеке OpenSSL. Настройку можно производить из GUI NetworkManager, и она разная у разных провайдеров. Некоторые даже предлагают инструкции специально для Linux, но в целом всё сводится к простому скачиванию сертификата, указанию NetworkManager сервера и вводу имени пользователя и пароля.

Затем весь ваш интернет-трафик перенаправляется, обычно через устройство TUN, на VPN-сервер. Запросы DNS тоже должны переадресовываться, чтобы ваш интернет-провайдер не видел, какие сайты вы посещаете. Обычно VPN предлагают собственные DNS-сервисы, и направляют их на ваш клиент OpenVPN. Но из-за многоуровневости DNS-кэширования это может не сработать. Поскольку запросы DNS не шифруются и сайты могут видеть, кто разрешил вам ваше имя хоста, это проблема. Сайты, подобные dnsleak.com и ipleak.net, помогут определить эти проблемы.

Избежать DNS-сервера вашего интернет-провайдера легко, и поскольку большая часть блокировок на уровне интернет-провайдера делается на уровне DNS, этот трюк стал популярен в Великобритании. Есть множество провайдеров открытых DNS (популярны 8.8.8.8 и 8.8.4.4 от Google), которые может использовать ваш NetworkManager или роутер. Но на самом деле вам надо убедиться, что DNS-запросы направляются через VPN, и вы должны внимательно проследить, куда они отправляются после этого. Если вы получаете доступ к сервисам Google через то же соединение, которое получает доступ к их DNS, даже если они оба направлены через VPN, вы в открытую сообщаете им все сайты, которые посещаете. Получать через VPN доступ к любому сервису, соединенному с вашей личностью, по крайней мере если вы используете VPN также и для сокрытия своей личности, плохая идея.

Анонимность Tor

Сеть Tor является вашей главной надеждой на сохранение анонимности в Интернет. Она основана на принципе луковичной маршрутизации, когда трафик обертывается в следующий уровень шифрования с каждым новым скачком в сети. Изначально Tor был разработан в исследовательской лаборатории ВМФ США и позднее в DARPA (Defense Advanced Research Projects Agency, том самом, где появился ARPANET, основа современного Интернета). Поскольку DARPA является частью Департамента обороны США, о надежности Tor ходит множество теорий заговора. Однако у Tor Project имеется ряд источников финансирования, и он старается уйти от правительственных. Вы тоже можете поддержать проект — финансово либо запустив собственный узел Tor. Запуск выходного узла подвергает вас некоторому риску, но вы можете запустить не-выход-ное реле или мостовой узел.

Есть два способа использования сети Tor: для доступа к сайтам Tor (.onion) или в качестве посредника для доступа к привычным (“clearnet”) сайтам (или другим хостам — любой вид трафик, например, SSH, VPN, FTP, может направляться через Tor). Во втором случае выходной узел, конечный узел Tor, который выводит ваш трафик в clearnet (Видимый Web), знает, к чему вы получали доступ.

Ни один из предыдущих узлов этого не знает, поскольку вся информация маршрутизации обернута в уровень шифрования. Правда, выходное реле не знает вашего IP-адреса—оно знает только адрес предыдущего узла Tor, опять же потому, что информация о канале маршрутизации шифруется.

И всё же вредоносный выходной узел является проблемой.

Трафик, направленный через HTTPS, остается зашифрованным, когда покидает выходное реле, но другой трафик — нет. Проверив этот трафик и используя перекрестные ссылки на метаданные зашифрованного соединения, можно сделать некие выводы о пользователе. Например, если пользователь посещает http://www.spy-soft.net через браузер, который использует локальную информацию, скажем, en_GB, и тот же пользователь посещает сайт Видимого Web, предлагающий запчасти для нетбуков примерно 2008 г., то выходной узел может вполне обоснованно предположить, что этот пользователь — Джонни, так как в Великобритании никому больше нет дела до сломанных старых нетбуков и установки на них Linux. Это не самый убедительный пример, но вы поняли суть. Еще большие опасения вызывает атака корреляции трафика, которая иногда называется атакой подтверждения трафика, в которой трафик тегируется вредоносной входящей заметкой и улавливается на выходе вредоносным выходным узлом.

Есть вредоносные сайты как внутри, так и за пределами сети Tor, и у тех, кто хочет остаться незамеченными, нет ни малейшего шанса. В фильме Жизни других герой контрабандой ввозит небольшую печатную машинку, потому что все продаваемые в его стране должны регистрироваться, и могут отслеживаться Stasi. Web-браузеры тоже можно отслеживать, и для отпечатков пальцев браузера не нужен централизованный реестр, который ведет тайная полиция. Многие браузеры, благодаря ОС, на которой они установлены, тому, как они обрабатывают шрифты и многим другим переменным, однозначно идентифицируют своего пользователя. Любой сторонний поставщик рекламы имеет доступ к этой информации, и в данном случае кажется разумным применять как можно более типовые настройки браузера, например, используя Tor Browser Bundle. Более подробную информацию вы найдете на panopticlick

Война за шифрование

Сторонники определенных убеждений хотят убедить нас, что Tor и другие сервисы обеспечения конфиденциальности/анонимности являются приютом террористов, наркоторговцев, педофилов и группировок организованной преступности. Эти «четыре всадника инфоапокалипсиса» (данный термин предложил автор Cyphernomicon и ветеран Intel Тим Мей [Tim May]), без сомнения, используют Tor и все прочие инструменты конфиденциальности, однако дискредитировать стоит не эти сервисы, а самих преступников.

На самом деле, высчитать, какая часть пользователей Tor вовлечена в указанные преступления, весьма непросто, но многие тысячи людей используют Tor для совершенно иных целей. У Facebook имеется скрытый сервис на facebookcorewwwi.onion, который помогает примерно миллиону человек ежемесячно ставить лайки, комментировать и делиться картинками с котиками. А decoded:Legal можно найти на decodedsbwzj4nhq.onion. Мы разговаривали с Мансуром [Mansour] (имя изменено), жителем Великобритании, чья семья бежала из Ирана в 1980-х: «Поскольку Иранская революция произошла незадолго до распада Советского Союза, в это время появились идеологии, вдохновленные марксизмом. Некоторые из них были более коммунистическими, некоторые скорее социалистическим, классифицировать трудно, но появилось много левых группировок. В некоторых из этих группировок были фракции, использующие военную тактику. Мои родители были около одной из таких групп, и когда действия этой группы стали неприемлемы для Аятоллы, нам пришлось бежать». По законам шариата диссидентам грозили обвинения в «войне против аллаха», что наказуемо смертной казнью. Их семьи тоже становились мишенью. У Мансура в Иране остались родственники, и он использует Tox, работающий на Tails, чтобы поддерживать с ними связь. «Во времена Зеленого движения, в 2009 г., Иран отключил Интернет. Тогда эта тактика сработала, однако сейчас от него зависит слишком большая часть экономики страны, и цензорам приходится быть осмотрительнее». Во время протестов регулярно блокируются сайты соцсетей, и командный центр кибербезопасности постоянно следит за их использованием в остальное время.

Иран и прочие репрессивные режимы (Беларусь, Турция — tur-keyblocks.org, Россия и Китай) в прошлом могли заблокировать трафик Tor. Список реле Tor доступен в публичной директории, поэтому надо просто постоянно ее проверять. В ответ на подобную тактику Tor Project ввел Мосты [Bridges] — не перечисленные в списках реле, к которым могут подключиться загнанные в угол пользователи. Случайный список из трех мостов доступен с https:// bridges.torproject.org/bridges, или по сообщению по электронной почте на [email protected] Пока пользователи могут найти доступ к этим сервисам, они могут обойти государственные черные списки. Tor Browser Bundle также идет со списком преднастроенных мостов, но вполне очевидно, что они подвергаются той же цензуре.

Вредоносные узлы

Вредоносный VPN способен следить за всем незашифрованным трафиком своих пользователей. Если эти пользователи предоставили настоящие имена и адреса вместе с информацией по оплате, то VPN легко может деанонимизировать их (само по себе это уже причина расплачиваться криптовалютой). Вредоносный выходной узел Tor может отслеживать весь трафик, проходящий через него, но трафик идет от множества пользователей, ни один из которых не может быть определен сразу, поскольку они скрыты за двумя другими реле.

Индивидуальный трафик использует множество разных выходных узлов, и в этом смысле Tor предлагает большую анонимность, чем VPN. Но Tor не следует рассматривать как бесплатный VPN. Пропускная способность сети Tor невелика, и ее полосу необходимо использовать осмотрительно. Стоит также отметить, что и Tor, и VPN могут изменять незашифрованный трафик. Tor Project активно проверяет выходные узлы и имеет строгие инструкции относительно сбора данных операторами выходных узлов, который может любым способом нанести ущерб конфиденциальности пользователей. В частности, тем, кто пытался создать списки Tor Hidden Services, реле закрыли. Подобный превентивный мониторинг раскрыл самую разную подозрительную — но не прямо криминальную — деятельность, что привело к благоразумному удалению некоторых узлов.

Поскольку узел Tor может запустить любой, при достаточных средствах можно запустить хоть сотни узлов. Если у вас работает несколько сотен входных узлов и несколько сотен выходных, то в конечном итоге какой-нибудь бедный пользователь будет входить и выходить через управляемые вами реле. Это далеко от обычной ситуации, но глядя на размер запросов и при правильном определении времени, вы сможете соотнести трафик на входе (который открывает IP-адрес пользователя) с трафиком на выходе (который открывает, где подключается пользователь), что уничтожит анонимность этого пользователя.

В июне 2014 г. двое исследователей из университета Карнеги — Меллона (Carnegie Mellon University, CMU) запланировали презентацию по взлому Tor на конференции по безопасности Blackhat. В последний момент доклад отозвали. Ранее в этом году проект Tor заметил, что в сети вдруг одновременно появилось 115 реле. Но поскольку это были промежуточные реле, считалось, что о них не стоит беспокоиться. Как оказалось, это был результат несколько неприличного союза между Департаментом обороны и исследователями. Как говорят, исследователям заплатили $ 1 миллион за их труды.

Спустя несколько месяцев после аномального появления реле был отключен Silk Road 2, популярная торговая площадка теневого Интернета [Darknet]. В последовавших судебных разбирательствах подтвердилось, что CMU предоставлял информацию ФБР. В отдельной операции ФБР захватили контроль над Playpen — сайтом Tor, размещающем материалы, относящиеся к педофилии. За время работы с ним ФБР смогли получить IP-адреса около 1300 человек, которым и были предъявлены обвинения. Однако многие из этих дел были прекращены, поскольку суд принимал сторону защитников, запрашивающих технологию сетевого расследования (Network Investigative Technique (NIT), использованную ФБР. Была ли это какая-то хитрость с JavaScript или уязвимость сети Tor, мы, вероятно, так и не узнаем. Однако особо циничные полагают, что для ФБР это намного важнее, чем наказание тех, кто совершал гнусные преступления.

Эй, возьмите мои данные!

Оно, конечно, хорошо — предпринимать меры предосторожности, чтобы не позволить организациям с названиями из трех-четырех букв и всяким злоумышленникам завладеть вашими данными, однако задумайтесь о том, какой объем личных данных люди ежедневно передают в руки соцсетей добровольно. Здесь мы этого не обсуждали, но взаимоотношения между интернет-гигантами и правительством довольно сложные. С одной стороны, мы видели, как в Apple весьма картинно отказались создавать прошивку, которую впоследствии могло использовать ФБР для дешифрования iPhone террориста, а в Microsoft в 2013 г. отказались передать властям США данные (связанные с подозреваемым в торговле в Даркнет), хранящиеся на серверах в Ирландии. Но с другой стороны, откровения Сноудена выявили такие программы, как PRISM (в последнее время именуемая “downstream”), посредством которых те же самые компании преспокойно передавали данные АНБ, ФБР и ЦРУ.

Мы настроили беспроводную точку доступа на Raspberry Pi (это легко сделать с hostapd), подключили к нему смартфон Джонни и запустили iftop, монитор соединения. Результаты вы можете видеть на рисунке. Даже при выключенном телефоне самые разные данные передаются в самые разные места. И это было с LineageOS — а с Android ситуация будет намного хуже. Если вы боитесь, что один из компьютеров в вашей сети скомпрометирован, то поместить его за такое устройство будет хорошей проверкой. Если установлен достаточно хитроумный руткит, вы не можете доверять результатам работы программ на этом компьютере, потому что всё это можно фальсифицировать. Со свежеустановленным Raspbian возможностей для злоупотребления куда меньше. Стоит также рассмотреть создание точки доступа Tor на Pi, это отличный способ избежать выпадания из Tor и случайной деанонимизации.

Шпионские программы США были узаконены в 2008 г. разделом 702 Акта о Поправках FISA, который не разрешает намеренно следить за гражданами США; но если их коммуникации совершенно случайно попали в сферу внимания в процессе слежки агентств за иностранцами, то всё в порядке. Эти законы не только разрешают сбор данных без ордера во имя «национальной безопасности», но любые собранные данные (это объемы в петабайтах, а возможности хранилищ у агентств безграничны) могут изучаться другими агентствами, расследующими куда менее серьезные нарушения.

Вероятно, особое внимание уделяется зашифрованным данным, в надежде, что в будущем агенты ФБР сумеют их расшифровать.

Это может включать использование новой математики, уязвимостей или старых добрых раздутых бюджетов и решимости. Раздел 702 был повторно утвержден Конгрессом в январе, вымостив дорогу еще шести годам тотальной слежки. Вы предупреждены…

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *